nginx防盗链应精准匹配多媒体后缀如.mp4、.m3u8、.ts等，避免通配符误伤其他资源；推荐按路径或正则匹配定位媒体文件；referer白名单须包含none、blocked、主站及合作域名；响应建议返回403或放行提示图。

保护多媒体文件是 Nginx 防盗链最典型也最刚需的场景。核心不是“全盘拦截”，而是精准识别 .mp4、.webp、.mov、.avi、.m3u8、.ts 等常见媒体后缀，并只对它们启用 Referer 校验，避免误伤 HTML、API 或字体资源。

明确要保护的多媒体后缀

别用通配符 `.*`，按实际业务选型。高频被盗且带宽消耗大的格式优先加：

• 视频类：`.mp4`、`.webm`、`.mov`、`.avi`、`.mkv`
• HLS 流媒体：`.m3u8`、`.ts`（需额外配置 MIME type）
• 高清图/新格式：`.webp`、`.avif`（若站点大量使用）

示例正则：~* \.(mp4|webm|mov|m3u8|ts|webp)$ —— ~* 表示忽略大小写匹配，覆盖 MP4、Mp4 等变体。

放在 location 块里，路径可选精确或泛匹配

推荐两种方式，按资源组织结构选：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 如果所有媒体统一放在 /videos/ 或 /media/ 目录下，直接限定路径：
  location /videos/ { ... }
• 如果媒体分散在不同目录但后缀集中，用正则匹配后缀更灵活：
  location ~* \.(mp4|webm|m3u8|ts)$ { ... }

⚠️ 切忌写成 location / { ... } —— 否则 HTML、JS、CSS 全被拦，网站直接白屏。

Referer 白名单必须包含流媒体真实来源

尤其注意 HLS 场景：播放页可能是 https://player.yourdomain.com，而 m3u8/ts 请求由 H5 Video 标签发起，Referer 就是该播放页地址。白名单要覆盖：

• none：允许用户直接输入 URL 访问（如分享链接）
• blocked：兼容某些隐私浏览器或代理清空 Referer 的情况
• yourdomain.com 和 *.yourdomain.com：主站 + 所有子域名（如 player.、cdn.）
• 如有合作嵌入方（如教育平台 iframe），加其域名：partner-edu.com

完整写法：
valid_referers none blocked yourdomain.com *.yourdomain.com partner-edu.com;

响应方式建议返回 403 或重定向提示图

对视频文件，返回 403 最稳妥；若想友好提示，可用 rewrite 指向一张静态提示图（如 /images/banned.mp4），但需确保该提示图路径本身不被防盗链限制：

• 方案一（简洁可控）：
  if ($invalid_referer) { return 403; }
• 方案二（需额外放行提示资源）：
  if ($invalid_referer) { rewrite ^(.*)$ /images/denied.mp4 break; }
  并在同 server 块中单独配置：
  location = /images/denied.mp4 { access_log off; log_not_found off; }